一、概述

近期360高级威胁研究院监测发现，盲眼鹰组织在2026年8月份实施了新一轮攻击活动，在本轮活动中，攻击者在攻击过程中混合使用了JavaScript、VB Script、PowerShell等脚本来隐蔽释放和加载载荷，最终使用一种新型远控木马Evolution RAT作为攻击工具，实现对受害者计算机的控制。

二、攻击流程分析

图1 基本攻击流程

如图1所示，受害者任意点击一次诱饵文件即在浏览器中解出并打开第二级伪造页面，该页面诱导受害者点击下载，获取一个内含 JS 加载器的加密压缩包，加载器再由用户目录中取出下一层载荷，最终释放 Evolution RAT— 一种具备多种能力的完整远控木马，同时通过自启动实现持久化驻留。

载荷投递

钓鱼过程

攻击者使用了一个伪装成哥伦比亚国家总检察院（Fiscalía General de la Nación）的 SVG 钓鱼文件。它渲染成该官网的 "Consulta ciudadana / DESCARGAR DOCUMENTO" 页面截图。点击页面任意位置后进入下载页面，展示检察院“下载完成”页并投放加密 ZIP压缩包。

为防止被分析或检测，攻击者首先在钓鱼诱饵中做了文章，进行了三层混淆处理，包括字符串按置换表置换和拼接、atob转换 、与 "kacAzVmy9ny18z" 和 "LZG1QxuU" 双密钥逐字节异或。解混淆后的逻辑如下，目的是实现诱导点击和加载下一级页面：

图2  SVG文件中内嵌的JS脚本逻辑

图3 压缩包下载界面

下载的压缩包名为Demanda_Familiar_Divorcio_Incausado_Liquidacion_CAUSA2088-2024.zip，文件名是从西语法律文书词表随机取加随机案号形成的，压缩包内文件名相同，扩展名为.js。

载荷释放过程

该JS脚本同样经过了混淆，解混淆处理后，我们梳理了它的逻辑：

在所有常见用户目录中寻找目标文件，只要其中含 “b472F” 标记就把中间内容 XOR 解密后执行。事实上诱饵文件自身就满足这个条件，因此该 SVG 既是钓鱼诱饵，也是同名生成器产出的载荷的承载体。  

图4 按标记提取下一阶段载荷

取出指定区段内容，再进行异或解密后，得到了VB Script编写的Dropper，固定落盘名称为 %TEMP%\~WRFXw8UUbyOWZ.tmp，强制执行后将原文件删除。

该vbs脚本使用大量无意义字符进行填充，核心功能为将396段base64拼接，并使用编码的AES-256-ECB 密钥

"8P0JRwqZ1wUp6kMPwBkMDnnH+ZMElmGzhmz3uPfCwIM="进行解密，得到一段PowerShell脚本，并输出到路径为%TEMP%\<随机8位十六进制>.ps1，然后执行并删除它自身。

写 PowerShell 之后、执行之前，还向 %TEMP%\notificacion_27504.html写入一份伪造的哥伦比亚税务局（DIAN）"Requerimiento Ordinario"（普通催缴通知） 页面，用于向受害者交代“下载的文档”。

解密后的PowerShell脚本是一个加载器，主干功能包括：

1、自定义base85编解码方法

图5 自定义base85解码

2、找到进程镂空目标文件位置

图6 定位进程镂空目标进程

3、解码最终恶意载荷

图7 还原最终载荷

4、经Base64解码、Gzip解压出.NET 程序集，该程序集负责进程镂空（Process Hollowing）功能实现。

图8 镂空注入并执行

值得注意的是这个进程镂空方法：

从ntdll.dll读取目标函数地址，动态拼出系统调用stub代码 0x4C,0x8B,0xD1,0xB8,0,0,0,0,0x0F,0x05,0xC3，也就是

并将其写入内存，而后使用 GetDelegateForFunctionPointer将NtUnmapViewOfSection、NtAllocateVirtualMemory、NtWriteVirtualMemory、NtSetContextThread、NtResumeThread等敏感API的stub地址封装为委托调用，通过syscall进入内核，绕过用户态hook。

图9 隐蔽调用敏感函数

最终载荷

最终载荷Evolution RAT是一种HVNC类远程控制木马，服务端组件名为 Overlord-Server，客户端互斥量为 SniperX，它具备以下能力：

1、HVNC（Hidden Virtual Network Computing，隐藏虚拟桌面远程控制），这是该RAT的核心功能。

具体实现步骤为：首先建立隐藏桌面。调用OpenDesktopW，若失败则调用CreateDesktopW。随后启动线程实现循环截屏和看门狗(hvnc_watchdog)。最后调用SetThreadDesktop 成功后向 C2 发送 hvnc:ready；失败则发送hvnc:set_desktop_failed。

图10 建立隐蔽桌面

2、注入 DLL 

注入前的准备工作包括：

•结束已运行的浏览器进程；

•取chrome.exe、msedge.exe、firefox.exe、brave.exe 等目标浏览器程序的路径；

图11 加载hvnc_injection.dll

•启用 SeDebugPrivilege特权;

•创建新的节区Local\hvnc_rdi_<tick>,把 DLL 字节复制进去；

•以参数CREATE_SUSPENDED在隐藏桌面上创建挂起的浏览器进程；

•调用VirtualAllocEx → WriteProcessMemory → CreateRemoteThread 反射加载 → ResumeThread完成注入。

图12 hvnc_injection.dll的注入过程

注入的dll的PDB路径为：C:\Users\USER\Desktop\Evolution RAT\Overlord-Server\dist-clients\HVNCInjection.pdb，代表它是Evolution RAT 的 Overlord 模块。

该dll实现的功能为：在8个关键API上安装MinHook钩子，包括NtCreateFile、NtOpenFile、NtDeleteFile、NtSetInformationFile、NtQueryAttributesFile、NtQueryFullAttributesFile、NtQueryDirectoryFile、CreateProcessW，用以后续克隆重定向浏览器数据。

图13 hvnc_injection.dll hook文件操作API

3、克隆浏览器数据

该RAT支持针对Chrome、 Edge 、Firefox 、Brave 、Opera 、OperaGX 、Vivaldi等浏览器进行数据克隆，即“CloneProfile”，具体步骤为：启用 SeDebugPrivilege 特权、SHCreateDirectoryExA 在真实 User Data 旁边建克隆目录、复制 User Data（Login Data、Cookies、Local State 等）。

图14 克隆浏览器数据

4、数据窃取

内置的SQLite 读取浏览器的logins、cookies、urls、moz_places等数据，然后 调用CryptUnprotectData和BCrypt系列API进行AES-GCM解密并向C2回传。

该RAT的其他控制功能包括：

该RAT的C2 配置以明文存放于专用的 .cfg 节区，即elpolacosur.dynuddns.com:2006。

图15 该RAT的C2

三、归属研判

通过对本次攻击活动的分析，我们将攻击者锁定为APT-C-36（盲眼鹰）组织，原因总结如下：

（1）钓鱼诱饵面向哥伦比亚境内用户投放，文件格式为SVG，主题为司法相关，符合该组织的一贯行为特点。

（2）使用JS、VBS、PowerShell等多种脚本语言作为载荷加载工具，混淆方法与该组织手法十分相似。

在本次活动中，APT-C-36组织攻击样本的加载过程较以往更加复杂，且引入了新型恶意软件—— 即尚未公开或大规模传播的远控木马Evolution RAT作为最终载荷对受害用户进行控制，可见该组织的攻击水平在逐步提高，相关地区易受攻击的用户应加强防范。

Hash

e3d202d78261c6db2ec44fa922bfb74c

a7aa6295538a303fadbf214947d2e6e5

f59b478cd54436696b658eee3178056c

C2

elpolacosur.dynuddns[.]com:2006

https://mp.weixin.qq.com/s/7eMIvKmpK5h2GlkH5U83rg